用途：审计 Web 应用的会话管理实现，发现会话固定、会话过期不足、会话令牌明文传输等安全漏洞，并输出报告。
主要能力：定位认证、会话与中间件代码；检查会话 ID 生成是否使用密码学安全随机数且熵不低于 128 位，标记 Date.now()、Math.random()、顺序 ID 等可预测模式（CWE-330）；验证认证后是否重新生成会话 ID（如 Express 的 req.session.regenerate()、Django 的 request.session.cycle_key()）；校验 Cookie 的 HttpOnly、Secure、SameSite=Lax|Strict 及 __Host-/__Secure- 前缀；审查空闲超时、绝对超时与滑动窗口；审计登出、密码重置和权限提升流程是否使旧会话失效；检查会话存储（内存存储、静态加密、JWT 签名完整性）；评估会话固定、CSRF、重放与预测等攻击面。
使用方式：需应用源码位于 ${CLAUDE_SKILL_DIR}/，已定位会话管理代码位置，明确框架与语言，具备会话配置文件，并对 ${CLAUDE_SKILL_DIR}/security-reports/ 有写权限。报告输出至 ${CLAUDE_SKILL_DIR}/security-reports/session-security-YYYYMMDD.md，含严重程度、CWE 映射、漏洞代码片段与修复示例，并附 Cookie 属性合规矩阵和框架相关修复建议。
适用场景：Express.js、Django、Spring Boot、Rails、ASP.NET 等应用的会话安全审计。
限制：无法分析压缩或编译后的代码；自定义会话实现需额外审查；配置外置于环境变量时需请求 .env.example 或部署配置文档；未知框架仅能依据通用会话安全原则，框架特定指导有限。参考资料包括 OWASP 会话管理备忘单及 CWE-384、CWE-613、CWE-319 等。